今日 KeyFrame

unprompted

• 工作區信任模型失效的三個原因：工作區應預設拒絕信任，但大多數工具預設允許；不受信任的儲存庫應禁用所有代碼執行功能，但許多工具只有部分功能受限；配置變更時應重新提示信任，但當前多數工具只在初次信任時檢查一次，導致後續配置被投毒後仍可執行。
• 四類主要攻擊模式各有繞過防禦的手段：零點擊攻擊繞過信任檢查（MCP 伺服器在沙箱外初始化、discover 命令在信任對話前執行）；提示注入通過目錄名稱、文件名誘騙代理而非配置；配置投毒利用信任持久性在後續 git pull 時自動執行；沙箱機制本身存在繞過漏洞。
• 不同供應商對同一漏洞的認定標準不一致：Anthropic 認為信任持久性是「安全與可用性的平衡」，OpenAI Codeex 標記為「資訊類錯誤」，但 Cursor 同樣漏洞被分配 CVE 編號，導致用戶面臨真實風險卻無統一指導。

unprompted

• 社區規模達成預期——近 800 人線上參與，分組小聚從 5 人至 80 人不等，證明安全領域從業者的協作意願高。
• 贊助商無償支援——5 家公司（Nostic、Tact isle、White Rabbit、Alion Futures、Alion Adventures）貢獻時間與金錢卻無直接回報，體現社區價值導向。
• Salesforce 的平台背書——作為主要贊助商，其產品安全負責人親臨表達支持，象徵企業級認可，有助提升社區專業度。

unprompted

• 治理架構分層化——從CEO、資訊長、法律顧問組成的最高委員會，到由副總裁與總監組成的AI卓越中心，再到各部門的審查流程，形成風險等級遞升機制，低風險項目在基層快速通過，高風險項目自動上報。
• 發現真實需求比盛大計畫更重要——初期40個用例中，多數實際上只是需要從Salesforce和SAP提取數據做報表，根本不需要AI技術，這迫使公司重新評估優先順序，避免盲目投資。
• 政策需要具體化與強制執行——初版的「使用AI前先諮詢」政策太寬泛，必須強化為「所有使用者必須簽署AI意識培訓」的硬性要求，才能真正控制合規風險。

unprompted

• AI打破傳統安全邊界
• AI系統不再執行預先定義的邏輯，而是在運行時根據上下文做出決策，可通過單一提示跨越端點、網路、雲端和SaaS邊界進行系統調用、文件操作、網路請求和API調用。這使得原本分離的控制平面失效，風險從靜態變為動態不斷演變。
• 組織架構決定治理效能

unprompted

• 三階段採用進程與各階段瓶頸：第一階段（2023年中）推出Camo GPT後，遇到模型能力不足（Llama 2 70B輸給GPT-4 Turbo）、前端功能缺陷（無檔案解析、網頁瀏覽）和基礎設施供應不足（查詢延遲從分鐘升至小時），導致95%普通用戶無法使用。第二階段（2024年）商業平台解決可靠性，但供應商將API成本乘以10倍銷售，平均代幣分配制度下，取證人員一次比較20頁日誌就耗盡月額度，申請追加代幣流程形同不可能。
• 軍隊採購體系的根本制約：軍隊擁有超100萬人員，採購流程繁複（採購→企業安全→運營許可），期間人員變動可導致整個認證重新開始，曾有產品耗時4年認證最終遭否決。分類要求複雜，非密系統規則相對簡單，機密及以上層級要求數倍增長，限制了工具選擇與快速部署。
• 前端設計失敗的連鎖反應：缺乏PDF解析與網頁瀏覽等基本功能，迫使用戶手動複製文本內容、應對字符限制，這種摩擦成為95%普通用戶的放棄點。即使模型本身可用，不友善的使用流程比模型能力更決定採用率，高級用戶與普通用戶的體驗差距巨大。

unprompted

• 自動化的關鍵是上下文設計：透過 Claude.md 檔案設定明確指令、硬編碼工具路徑，避免 AI 猜測；用 markdown 格式的技能檔案描述每個 SIFT 工具的功能、執行方式與輸出格式，讓 AI 理解如何調用與組織結果。
• AI 可以完全自動化複雜的取證流程：從 AMCache 分析、Prefetch 解析、事件日誌、內存鏡像分析，到時間軸建構與報告生成，全部自動化完成；報告內容包括初始入侵方式、攻擊鏈、惡意軟體清單、持久性機制、網路連線、MITRE ATT&CK 映射與修復建議。
• AI 存在已知的局限：語境記憶會隨著重複使用而衰退，導致準確度下降；需要透過內建的自我糾正機制（如「遇到錯誤則開始自我修正」）來緩解；但隨著分析更多系統，AI 會記住惡意軟體簽名並自動在後續系統中搜尋，導致速度逐漸加快。

unprompted

• 意圖歸屬難題：開發者手動執行命令與 AI 代理執行的殼命令在端點遙測上表現相同，檢測工程師無法透過程序、使用者、命令列等傳統訊號區分人為還是 AI 驅動，這是當前最大的盲點。
• 跨會話追蹤缺陷：不同 IDE、工作區、對話會話之間的上下文喪失，攻擊者可能利用跨會話攻擊，但現有工具只能看到單一會話內的活動，無法關聯完整的攻擊鏈。
• 現有檢測方向與侷限：程式碼簽名檢測（許多工具已簽名）、程序祖先樹分析（噪音太大）、檔案修改監控（正常開發活動掩蓋惡意行為）都存在假陽性問題，需要多層聯動。

unprompted

• GenAI 威脅的核心形式是提示注入：攻擊者透過查詢參數、哈希值甚至動態瀏覽器執行來觸發提示注入，傳統防火牆無法攔截因為威脅發生在瀏覽器內部，Yara 規則難以捕捉所有變異情況。
• SuperYara 提供語義層級檢測能力：相比傳統 Yara 規則需要手寫所有變異型態，SuperYara 只需用自然語言描述要捕捉的內容，庫在內部進行語義匹配，自動理解「不要執行」和「禁止執行」的等效性。
• 分層防禦平衡成本與效率：透過結合 Yara 規則（快速、便宜）、語義相似度（中等成本）、分類器（較貴）、LLM 規則（最貴但最準確）的多層構架，可在不同威脅複雜度下自動選擇合適檢測方法，並將成本降低約 50%。

unprompted

• AI能力突破：過去6個月AI編碼代理性能大幅提升，能理解複雜代碼庫並注入現實的漏洞，這相比以往只能找出明顯漏洞是巨大進步。
• 系統化流程設計：從代碼分析、漏洞規劃、功能測試、漏洞注入到驗證測試，每個環節都有明確的目標和成果物，確保注入的漏洞是可驗證且真實的。
• 結構化指引優於直接提示：將流程寫成Markdown文件形成「技能」系統，讓AI代理按部就班執行，比單純的自然語言提示更可靠，結果更符合預期。

unprompted

• 軌跡事件模型作為統一安全邊界：編碼代理的所有行動都對映為五種事件型別（行動、觀察、控制、狀態），這使得安全策略可以在統一的框架上表達和執行，而不是零散地應用在各個模型內部。
• 參考監視器的必要性：在代理之外部署一個始終啟用、防篡改的參考監視器來調解所有軌跡事件，形成硬性的安全邊界，這比依賴模型安全措施或指示更可靠。
• Cedar作為可分析的策略語言：不同於Rego等其他策略語言，Cedar的形式化特性允許透過自動工具檢查策略矛盾、空洞和不完整性，支援屬性基訪問控制（ABAC），便於在上下文中做出細粒度決策。

unprompted

• 意圖與強度的二元檢測框架：玻璃盒式安全透過機制可解釋性在模型前向傳播中収集激活資訊，利用餘弦相似度衡量意圖方向、用標量投影測量強度大小。這種方法超越了傳統的特徵黑名單（如禁用「搶銀行」等關鍵詞），轉向針對概念層級的檢測。
• 層級內省與激活掛鉤：有效檢測需在殘差流連接模型，監控與目標概念最相關的層級。演講者強調，GPT-20B 等模型有超過 24 層，檢測工程師需透過實驗確定各層活躍度，找到最適合檢測的位置，而非全層監控。
• 行為檢測的行業經驗移植：網路安全已成熟採用基於行為的 EDR 檢測（而非純簽名檢測），AI 領域應借鑒此經驗，建立能捕捉模型決策過程變化的檢測機制，特別是應對智能體工作流中狀態改變的問題。

Orion副业笔记

• 賣工作流，不賣模板：Notion模板已無差異化競爭力，市場真正付費的是「解決整個工作場景」的系統，例如AI創作者全流程管理套件，附加自動化發送定制PDF的機制，才能溢價。
• AI技能的真正門檻在結構化提示詞：單句Prompt沒有壁壘，能在PromptBase上賣錢的是驅動agent持續輸出高質量代碼或長文案的複雜結構化提示詞系統，這是技術護城河所在。
• 傳統企業自動化改造利潤高：幫中小企業把Excel流程接上ChatGPT API，單次諮詢起價500美金，需求量大且客戶黏性強，是目前Upwork上最穩定的接案類型之一。

SEOKING | AISO 360 | Roger Lin

• 語意層級資料外洩無法靠傳統手段防禦：即使對單份文件做去識別化，LLM 仍能透過跨越數百份文件的語意關聯，從時間、差旅、採購等碎片線索推論出機密專案內容，字串比對防護對此毫無效果。
• 提示注入（LLM01）讓語言本身成為武器：攻擊者可將惡意指令隱藏在 PDF 或外部網頁的不可見字元中，當 RAG 系統自動爬取時，AI 會將其視為最高指導原則執行，包括將財務數據發送至外部伺服器。
• 過度代理（LLM06）是架構設計失職：AI 代理若被賦予過大執行權限（發信、改資料庫、呼叫 API），一旦遭提示注入，攻擊者可直接操控 AI 檢索跨部門機密並外傳，形成連鎖災難。

Web3天空之城

• 指令與資料混淆是所有注入攻擊的共同根源。 馮·諾依曼架構將指令與資料存放於相同記憶體空間，系統若無嚴格邊界控制，惡意輸入便可偽裝成合法指令被執行，SQL 注入與提示詞注入本質相同。
• 大模型使攻擊面呈指數級擴大。 傳統 SQL 注入只需過濾單引號、分號等特殊符號，但大模型處理的是語義豐富的自然語言，攻擊者可透過角色扮演、情境切換、任務偽裝等無數種表述方式繞過規則，使基於關鍵詞的過濾幾乎失效。
• 紅隊測試是發現系統漏洞的主動防禦機制。 透過模擬攻擊者視角持續測試系統邊界，才能在惡意行為者找到漏洞之前先行修補，這種「以攻代守」的思路是網路安全的核心方法論。

Aryaka Networks

• 1. 授權邊界（Authorization Boundary）是資料治理核心
• 企業資料只要流出既定安全邊界（如上傳至外部 LLM），風險立即升高，因為資料脫離組織掌控。CISO 必須持續監控誰在用什麼提示詞對哪個 LLM 操作，確保資料不離境。
• 2. AI 武器化已讓傳統攻擊向量升級為工業規模

Yunaverse

• 提示與 RAG 無法解決根本問題：即便使用最佳提示加上 RAG（讓 AI 讀取所有政策文件），AI 仍在 62% 的高危情境下失敗，這是因為問題不在於知識不足，而在於 AI 缺乏行為上的結構性約束。
• 理性客戶比惡意用戶更危險：測試數據顯示，當客戶使用清晰、合理的對話邏輯逼迫 AI 做出承諾時（「偵測型攻擊」），失敗率反而從 56% 上升至 72%，代表現有系統對合理訴求幾乎無防禦能力。
• OMSC 在架構層攔截風險，而非依賴規則遵循：OMSC 的核心差異在於它不是給 AI 一本規則書希望它遵守，而是在 AI 生成回應之前就分析對話風險，一旦偵測到高危情境即撤銷 AI 的財務承諾權限，Bot 仍可正常服務但無法做出任何有成本的承諾。

IBM Technology

• 自主性是雙面刃：Agent 能以「速度與規模」放大人類能力，但一旦目標被竄改或權限失控，同樣的自主性會把錯誤放大到人類無法即時介入的程度。
• 提示注入是根源性威脅：Agent 無法可靠區分「指令」與「內容」，因此藏在文件、電子郵件或網頁中的惡意提示，能靜默地將執行目標偏移，而 Agent 本身仍「正確地」執行任務——只是朝錯誤方向。
• 多 Agent 架構讓攻擊面成倍擴張：Agent 呼叫子 Agent、繼承憑證、共享記憶體，使得單點入侵可觸發跨系統的連鎖失敗，且因執行路徑複雜，事後追蹤極為困難。

九姨小課堂

• 1. Skill 的本質是結構化執行說明書，而非提示詞
• 提示詞是一次性對話，AI 只回應當下內容；Skill 是可反覆調用的數位員工規格書，讓 AI 跨越軟體限制直接產出成品，使用者從「求 AI 辦事」變成「指揮 AI 生產」。
• 2. 大模型負責思考，Skill 負責執行，兩者缺一不可

Rohas Nagpal

• 現有工具不夠用，所以自己做：市面上的區塊鏈鑑識工具不是太貴就是由軟體工程師設計、缺乏實戰邏輯，講者以數十年調查經驗為基礎，針對實際辦案流程重新設計工具，確保功能符合真實需求。
• Seed 短語調查是被嚴重低估的突破口：只要取得嫌疑人的 Seed 短語（甚至是刺青在身上的詞），C4 Lab 可以一鍵衍生所有鏈上錢包並掃描使用記錄，將原本需要數月的工作壓縮到數分鐘；缺字詞的情況也支援補全計算。
• 現場取證與實驗室分析形成完整鏈條：C4 Field（紅色介面，熱證據）以 USB 插入現場設備即可擷取截圖、剪貼簿、網路流量、錢包文件等，帶回後與 C4 Lab（藍色介面，冷證據）對接，透過 Hash 驗證確保證據完整性，全程符合鑑識程序。

Black Hat

• 1. 偵測被封鎖，漏洞仍存在
• 過去六年間，業界用正規表達式攔截含 `Transfer-Encoding` 的探測請求，有效封鎖了所有主流掃描工具，但 Desync 本身的根本原因——HTTP/1.1 請求邊界模糊——從未在伺服器層真正修復，形成一個「表面安全、實則危險」的終局狀態。
• 2. 微小的方法論錯誤反而能挖出更嚴重的漏洞

Black Hat

• 複雜度本身就是風險：Apple 圖形子系統橫跨多個 vendor 驅動與韌體層，結構過於龐大，任何一層缺乏輸入驗證都可能造成 OOB 讀寫或任意記憶體存取。
• 粗率重構會引入大量漏洞：IO Mobile Frame Buffer 在 2020 年大規模重構後，漏洞數量急劇飆升；安全社群對新攻擊面的反應存在約六個月的滯後期，這段窗口期極為危險。
• Apple 將程式碼下移韌體不等於修復：把攻擊面從 IO Mobile Frame Buffer 移到 DCP 韌體只是「隱藏」而非消除，只要理解層間通訊協定（RTKit/antibody 機制），仍可觸發底層漏洞。

鼎の工坊

• 算力焦慮已升至國家戰略層級
• 英偉達 GTC 2026 發布 GB300 桌面超算（748GB 記憶體、可本地跑兆參數模型），黃仁勳宣告英偉達從晶片供應商轉型為 AI 基礎設施系統主導者；Meta 與 Google 年度 AI 支出合計超 3,000 億美元，阿里預警 5 年內算力嚴重短缺。
• Agent 正從輔助工具演變為協作同事，但安全問題隨之放大

Shield Spectrum

• 現代 Bug Bounty 攻擊面已大幅擴展：2026 年的目標不再只是傳統 Web App，已涵蓋 API、雲端 Infrastructure 與 AI 系統，Hunter 必須理解實際架構邊界，逾越範圍可能面臨法律責任。
• AI 生成多份 Recon Checklist 再比較，比只用一份更有效：不同 AI 工具會以不同視角組織工作流，交叉對照能發掘更多測試方法，並讓自身方法論持續精進。
• AI 協助子網域優先排序可節省大量時間：在數百至數千個子網域中，AI 能依技術棧、Dev/Staging 環境、API Endpoints 等維度分析，給出優先測試清單，讓測試更聚焦。

Luke Gough

• 職缺現實比想像殘酷。 滲透測試看起來光鮮，但職缺稀少且門檻極高，絕大多數職位都要求有實戰經驗，純靠刷課和 CTF 而沒有實際工作背景的人幾乎進不去。
• 攻擊能力的根基是防守思維。 你必須先懂防守方怎麼想、什麼行為會觸發告警、日誌如何記錄，才能設計出有效的攻擊路線；這種知識只能在真實 SOC 環境中累積，課程給不了。
• 藍隊不是繞路，是最短路。 從 SOC 分析師出發，邊工作邊在 Hack the Box 練習紅隊技能，再拿 OSCP，這條路的就業成功率遠超過從頭直攻滲透測試的人。

加密头条

• 1. 智能體從對話工具轉型為執行系統，安全風險維度質變
• 當智能體可以自主發起鏈上交易、調用合約、轉移資產，WebSocket 從訊息通道變成真正的控制通道。原本模型層的風險已蔓延至接口層、技能調用鏈與系統權限層，一個漏洞足以影響整個項目的生存。
• 2. 現代攻擊高度專業化且有耐心，破壞力遠超資金損失本身

Black Hat

• 攻擊面廣且漏洞層次低：充電器整合 Wi-Fi、藍牙、雲端、行動 App 等多重介面，兩年 Pwn2Own 競賽共揭露 CWE-120/121/20/122 緩衝區類漏洞 8-9 個，加上身份驗證缺陷與命令注入，顯示業界整體安全成熟度不足。
• 充電協議可被操控，直接影響物理安全：J1772 標準以 1kHz PWM 佔空比（10%=6A，96%=80A）傳遞最大允許電流，一旦充電器遭入侵，攻擊者能強制輸出 80A，造成電流熱效應呈平方倍增，引發熔化與火災。
• 軟體被入侵後無任何硬體防線：所有受測設備的過電流防護均由軟體控制，硬體無獨立截斷機制；測試中半數充電器在 1.5 小時內損毀，其餘在 5.5 小時內相繼失效，遠早於夜間充電結束。

Black Hat

• EIBRS 緩解機制存在根本性設計盲點：Intel 的 EIBRS 透過在分支預測條目中加入「特權模式標記」來防止跨特權域注入，但它假設預測完成時的特權狀態等同於分支執行時的特權狀態——這個假設在硬體流水線中並不成立，導致防護形同虛設。
• 競態條件的核心：預測佇列的延遲寫入：分支預測並非瞬間完成，硬體需時間收集目標、尋找結構中的替換位置。若在這段「預測在途」期間執行 syscall 切換特權，處理器會以當前特權（kernel mode）而非原始特權（user mode）標記該預測，注入就此成立。
• Intel 對前一漏洞的防護（BHIDS）反而使攻擊更容易：為緩解 Branch History Injection，Intel 實作了 BHIDS，直接關閉核心模式下的 history-based 預測器；攻擊者原本需費心繞過這個高優先級、但不受影響的預測器，BHIDS 卻把它自動關掉，讓低優先級的 IP-based 預測器成為唯一目標。

Black Hat

• 雙層 LLM 架構源於人類分析師的認知拆解
• 單層 LLM 同時執行「視覺理解」與「專業判斷」兩項任務會失敗，因為人類分析師其實在腦中分兩步走：先看懂畫面內容，再套用領域知識辨識威脅。將這兩步拆成獨立的 LLM 層後，準確率大幅提升。
• 螢幕截圖對惡意軟體追蹤具備代碼無關的韌性

Black Hat

• Unix 子系統是入門主機滲透的最佳切入點：ZOS Unix 提供完整的 shell、階層式檔案系統與 SSH 存取，攻擊者只需再額外學習少量主機專屬概念，即可沿用既有的 Linux 攻擊技術。
• APF 授權是主機上等效於 Linux SUID 的權限提升機制：透過 `extattr +a` 指令將程式標記為 APF 授權後，程式可切換至 Supervisor State、變更 Memory Key 至 Key 0，進而讀寫任意記憶體；關鍵是需具備 RACF profile `BPX.FILEATTR.APF` 的讀取權限。
• ACE（ACEE）記憶體結構是特權偽冒的核心攻擊面：APF 授權程式可呼叫 RACF macro `RACROUTE` 為目標帳號建立新的 ACE 控制區塊，再修改自身地址空間中的指標，使 ESM 認為當前行程擁有目標帳號的所有特權，而外觀上仍顯示原始使用者。

十分鐘英語

• 問句涵蓋高頻生活情境：包含邀約（"Do you want to join us?"）、確認行為（"Did you lock the door?"）、詢問狀態（"Is everything okay?"）等，對應真實對話中最常出現的場景。
• 回答刻意保持口語自然性：答句非教科書式完整句，而是簡短、真實的口語回應（如 "Not yet, I'm still deciding." / "Yes, a few times."），反映母語人士實際說話習慣。
• 透過大量輸入建立語感：影片不逐句講解，而是密集呈現問答配對，目的是讓學習者透過重複聆聽內化句型，而非死背規則。